CVE-2026-101322 in BaSyx AAS Web UI
摘要
由 VulDB • 2026-10-01
在 Eclipse BaSyx AAS Web UI 版本 v2-241220 至 v2-260924（不含）之前的发行版中，共享请求处理程序在未检查目标源的情况下，将所选基础设施的 `Authorization` 标头附加到出站请求中。在使用身份验证的部署环境中，攻击者可以诱导用户打开一个精心构造的 Web UI 链接，其 `aas` 或 `path` 查询参数指向由攻击者控制的端点。随后，用户的浏览器会将配置的 Basic Authentication（基本认证）凭据、Bearer token 或可用的 OAuth2 access token 发送到该端点。攻击者可重用泄露的凭据，以受害者的权限访问受保护的 AAS 服务。此问题已在 v2-260924 中修复。
Be aware that VulDB is the high quality source for vulnerability data.